VPN-verifikasie het misluk: dit is selde die poort of die DNS

Verifikasie het misluk beteken die diens het ’n identiteit ontvang en dit verwerp, wat ’n smaller stelling is as wat die meeste mense daarin lees. Die poort is oop, die TLS-sessie het heel moontlik voltooi, en iets in die geloofsbriewe of die rekening is verwerp. Om netwerkinstellings te verander kan dit nie regstel nie, en om die poging te herhaal kan die rekening sluit. Die foutteks noem reeds die stadium, so begin daar.

Die fout het reeds gesê watter stadium misluk het

’n Verbinding wat nooit sy TLS-handdruk voltooi nie, het glad nie verifikasie bereik nie. ’n Verbinding wat die handdruk voltooi en dan ’n verwerping van geloofsbriewe rapporteer, het dit bereik en daar misluk. Daardie twee uitkomste verg verskillende ondersoeke, en hulle word dikwels verwar omdat albei met ’n geslote venster eindig.

OpenVPN maak die onderskeid eksplisiet met ’n AUTH_FAILED-boodskap van die bediener, wat ’n besluit eerder as ’n vervoerfout is. ’n TLS-onderhandelingstydsverloop of ’n sertifikaatverifikasiefout hoort by die vroeër stadium. Lees watter een jy het voordat jy aan geloofsbriewe raak, want ’n wagwoordherstel kan nie ’n handdruk regstel nie en ’n firewallverandering kan nie ’n afgekeurde aanmelding regstel nie. Een reël van die kliëntlog beantwoord die vraag.

Dieselfde logika geld vir ’n sessie wat verbind en later val. ’n Herverifikasiefout op minuut veertig is ’n ander fout as ’n eerste-aanmelding-verwerping, en die interval is die leidraad.

Bevestig dat die profiel na die regte diens wys

Die rekening wat op ’n verskaffer se webwerf gebruik word, is nie altyd die rekening wat sy VPN-gateway aanvaar nie. ’n Gestoor profiel kan ook na ’n ou gateway wys lank nadat die diens verskuif het.

Vergelyk die eindpunt in die profiel met die een wat die operateur gepubliseer het, en kyk watter identiteitsisteem die gateway raadpleeg. ’n Wagwoordherstel op ’n webportaal verander niks as die tonnel teen ’n aparte gids verifieer nie. Geloofsbriewe vir ’n onverwante publieke bediener sal nie op joune werk nie, en om ’n werkwagwoord in ’n profiel te toets wat deur ’n onbetroubare boodskap ontvang is, is in elk geval ’n slegte ruil. Bevestig die oorsprong voordat jy enigiets tik.

Twee minute op die profiel voorkom ’n dag se raai aan geloofsbriewe.

Die aanmeldformaat is deel van die geloofsbriewe

’n Gebruikersnaam mag ’n e-posvorm, ’n domeinvoorvoegsel of ’n gidssuffiks nodig hê. Die gateway vergelyk die string wat dit ontvang het, so die vorm is deel van die geloofsbriewe eerder as versiering.

Sluit dan die vervelige oorsake uit voordat jy eskaleer. Kyk na die sleutelborduitleg, enige sleepspasie wat deur ’n kopie ingevoer is, en ’n ou inskrywing in die wagwoordbestuurder. Bevestig ná ’n herstel dat die VPN dieselfde identiteitsbron as die bladsy waar die wagwoord verander is, gebruik. As daardie besonderhede reg is, hou op raai en vra die operateur of die rekening geaktiveer en vir VPN-toegang gemagtig is. Dit is ’n regstelling aan die dienskant eerder as ’n kliëntinstelling.

openvpn --config office.ovpn --verb 3
journalctl -u openvpn-client@office -n 40 --no-pager

Die logreël wat AUTH_FAILED dra, sluit gewoonlik ’n redekode of ’n uitdagingsstring in. Kopieer dit presies eerder as om dit te parafraseer wanneer jy om hulp vra.

Tweede faktore het hul eie kontrak

Die profiel mag ’n eenmalige kode, ’n interaktiewe uitdaging of ’n blaaieraanmelding verwag wat ’n token aan die kliënt teruggee. Gebruik die vloei wat die operateur ondersteun eerder as om een te bedink.

Moenie ’n kode by die wagwoord voeg nie, tensy daardie formaat uitdruklik vereis word, want sommige ontplooiings gebruik ’n aparte veld en sommige gebruik ’n uitdagingsstring. Vir tydgebaseerde kodes, kyk na die toestelklok, want ’n paar minute se afwyking maak elke kode ongeldig. As blaaieraanmelding slaag en die kliënt hervat nooit nie, merk daardie presiese punt, want dit identifiseer die oorhandiging eerder as die geloofsbriewe. Nog ’n wagwoordherstel sal waarskynlik nie help nie.

’n Sessielimiet is die ander algemene verwerping. As die rekening een sessie toelaat, kan ’n tweede aanmelding die eerste beëindig, en die simptoom lyk soos ’n wapperende verbinding eerder as ’n beleid.

’n Sertifikaat is nie ’n wagwoord nie

’n Kliëntsertifikaat kan verval of ingetrek word terwyl die rekeningwagwoord heeltemal korrek bly. ’n Privaatsleutel-wagfrase is weer ’n derde geheim, en dit beskerm ’n lêer eerder as ’n rekening.

Lees die fout voordat jy enigiets vervang, en kry dan die korrekte vervanging by die geverifieerde operateur. Hou bedieneridentiteitsverifikasie aangeskakel terwyl jy dit doen: om ’n onverwante sertifikaat te aanvaar of iemand anders se privaatsleutel te kopieer is nie ’n herstelling nie, dit is ’n tweede voorval. Toets dan die hulpbron wat jy werklik nodig het, want ’n gekoppelde tonnel met ’n onbereikbare diens hoort by ’n ander ondersoek. Skryf neer watter stadium misluk het sodat die volgende persoon nie die hele proses weer begin nie.

As die sessie tot stand kom en later misluk, teken die interval en enige nabygeleë hernuwingsgebeurtenisse aan. Daardie rekord skei ’n tokenleeftydprobleem van ’n eerste-aanmelding-mislukking, en dit is die verskil tussen ’n vyf minute lange regstelling en ’n week se herprobeer.